クラウドセキュリティーとは？気を付けるべき主なリスクと対策方法

SaaS（Software as a Service）は、インターネット経由でソフトウェアを提供するサービスです。利用者側は、サービス事業者が提供するシステムやアプリなどをクラウド上で利用できます。ビジネスシーンでは、メール・チャットツール・ビデオ会議ツール・グループウェアのほか、クラウド型の会計システムや顧客管理システムなどがよく用いられています。一般的に多くの方が利用しているクラウドサービスです。

PaaS（Platform as a Service）は、インターネット経由でプラットフォームの機能を提供するサービスです。具体的には、アプリの開発に必要なデータベースやアプリケーションサーバーなどのプラットフォームをクラウド上で利用できます。社内のエンジニアがアプリ開発を行う際、コストや管理負担を抑えながら開発環境を確保することが可能です。

IaaS（Infrastructure as a Service）は、インターネット経由で開発に必要なインフラを提供するサービスです。仮想サーバーやネットワークのようなインフラが提供され、開発環境に必要なハードウェアをクラウド上で利用できます。PaaSよりもさらに自由度の高い開発環境を確保できる点に違いがあり、利用者にはより高度な専門知識が求められます。

サイバー攻撃や不正アクセス、従業員の人的ミスなどの原因によって、社内の重要なデータが外部に漏れてしまう被害です。企業の機密情報やユーザーの個人情報などが流出し、第三者に悪用されるおそれがあります。企業が被害者となった場合も、情報が流出した個人に対して責任を負うことになるのが注意点です。情報セキュリティーの管理者は情報漏えい対策を徹底しなければなりません。

クラウドサービスに保存したデータが消失してしまう被害です。従業員の人的ミスのほか、クラウドサービスのシステム障害や不正アクセスによってデータが消失する可能性も考えられます。クラウドサービスを利用する場合は、安全性の観点から自社でもバックアップを取るのが望ましいといえます。また、導入サービスを選定する際、自社の求めるセキュリティー基準に適しているか評価することも大切です。

サイバー攻撃の手口は年々巧妙化し、悪意のある第三者による被害事例が増加傾向にあります。近年使用される主な手口は「DDoS」「ブルートフォースアタック」「ランサムウェア」「マルウェア」「標準型攻撃」などです。なかには高額な身代金を目的としてサイバー攻撃を受けた企業の事例も存在します。大企業から中小企業まで、サイバー攻撃に備えてセキュリティー管理体制を見直すことは重要です。

不正アクセスとは、アクセス権のない第三者に不正な方法でシステムやサーバーに侵入される被害です。ID・パスワードの流出のほか、総当たり攻撃によって侵入されるリスクがあります。その後は社内の重要な情報を盗まれたり、Webサイトやファイルを改ざんされたりする被害が懸念されます。また、攻撃者が自社を経由して関連会社に侵入するケースもあるため十分にご注意ください。

【参考】標的型攻撃の特徴とは？手口や対策、おすすめセキュリティーツール
【参考】サプライチェーン攻撃の7つの対策方法｜目的や攻撃手法の種類

クラウド上で外部のユーザーと共同作業する際は、アクセス権の範囲やゲストユーザーの管理を徹底する対策が有効です。誰が・いつ・どのような理由で自社のサービス環境内にアクセスしているか把握できる環境を整えます。その際、不要なアカウントや権限は速やかに削除し、放置しないことがポイントです。

クラウドサービスで用いるパスワードは、複雑かつ長い文字列を設定することで、推測されたり総当たり攻撃で突破されたりするリスクを避けやすくなります。また、従来のパスワード認証と併せて多要素認証を導入するのも効果的です。多要素認証では、「クライアント証明書（＝個人や組織を認証する電子証明書）」、「ワンタイムパスワード（＝一度限り利用する使い捨てのパスワード）」「生体認証（＝指紋や顔など身体の要素で行う認証）」などが用いられます。

データの暗号化は、通信の盗聴・ファイルの改ざん・不正アクセスの防止などを目的とした対策です。自社のデータを解読できない状態に変換することで、外部の第三者にデータの中身を読み取られるリスクを抑えられます。ファイルを暗号化して保護するのに加えて、通信経路まで暗号化することで、盗聴による被害の防止につながります。

データのバックアップによって、人的ミスや災害によるデータ消失に備え、かつランサムウェア（＝暗号化したデータを人質にして身代金を要求する手口）への対策が可能です。多くのクラウドサービスにはバックアップの機能が搭載されています。データ管理で定期的にバックアップを実施するなど、セキュリティー面から運用方法を見直しておくと安心です。

クラウドサービス内の監査ログを取得し、定期的にモニタリングを行うことで、不審な動きを速やかに検知して調査し、解決へ導く体制を整備します。対象となるのは、ログイン情報・認証情報・ゲストユーザーの招待・外部への共有リンク発行などのログです。アクセス制御と併せて監視を行うことで、情報セキュリティーマネジメントを強化します。

万が一、セキュリティーの問題が発生した場合に備えて、社内で迅速に対処する体制を整備します。セキュリティーインシデントの発生後、自社の知的財産・顧客からの信頼・ブランド価値などの損害を最小限に留めることが目的です。まず、対応部署やその役割などを明確化して、「セキュリティーポリシー（＝セキュリティー対策の方針）」を作成します。また、インシデント管理ツールのような、インシデント発生時の対応を管理する専用ツールを活用するのもおすすめです。

【参考】セキュリティーインシデントとは？企業が知っておくべきリスクと対策


クラウド環境でのファイル共有は、多くの企業にとって必要不可欠な業務ですが、その際もセキュリティーリスクの考慮が重要です。特に外部からの不正アクセスやデータ漏洩を防ぐためには、セキュリティー性の高いファイルアップロードソリューションを選ぶことが求められます。企業におけるファイル管理と共有の安全性を確保するためには、適切なアクセス権限の設定や使用ログの取得が可能なソリューションを導入することが効果的です。

業務におけるファイル共有のセキュリティー向上が課題なら、安全性の高いクラウドストレージ「Box」がおすすめです。企業が取り組むべきクラウドセキュリティー対策を網羅しており、アクセス権限設定や使用ログ取得によってデータの漏洩を防ぎます。また、データの暗号化やバックアップに対応しており、不正アクセス対策も万全です。

【参考】京セラ推奨のセキュアな法人向けクラウドストレージ「Box」